VPN per aplicació o split tunneling? Què pot decidir una ruta del Mac

Dues aplicacions obren connexions al mateix servidor d’oficina, i només una d’elles hauria d’usar el túnel. Una ruta no pot expressar aquest desig, perquè les taules d’encaminament es basen en destinacions i no tenen cap noció de quin procés va obrir el socket. El que la gent demana i el que necessita sovint són coses diferents. Separeu les dues abans de canviar qualsevol configuració.

El selector és una destinació, mai un procés

Tota decisió d’encaminament comença en una adreça de destinació i acaba en una interfície. El nucli mai no pregunta quin binari va enviar el paquet, i a macOS pf tampoc no encamina per procés, així que una regla de tallafocs no pot posar una aplicació en un altre camí. És per això que el mateix servidor, abastat des d’un navegador i des d’una eina d’informes, pren un sol camí per a tots dos. La separació a nivell d’aplicació ha de venir, doncs, d’una altra cosa que una ruta: un connector de VPN que posseeix el socket, un proxy que pren la connexió en nom de l’aplicació o una pila de xarxa separada. Cap d’aquestes coses no és un canvi d’encaminament.

Dues aplicacions que parlen amb una sola adreça són la prova més neta d’un disseny. Si la resposta no pot diferir entre elles, el disseny es basa en la destinació, es digui com es digui.

Què aporta de debò un split tunneling corrent

Un split tunnel instal·la rutes per als prefixos privats i deixa tota la resta al camí físic. Normalment és això el que vol dir la petició: arribar al servidor d’oficina pel túnel i mantenir la navegació pública directa. És senzill, tots els clients habituals ho admeten i ho imposa el mateix mecanisme que qualsevol altra ruta. Comproveu la destinació concreta amb route -n get en lloc de llegir la ruta predeterminada, perquè un split tunnel sovint la deixa intacta.

Editar la ruta predeterminada a mà no és cap conversió a res. Lluita contra la mateixa restauració de rutes del client i, en clients que instal·len una política de protecció, pot deixar la màquina en un estat que ni vós ni el client espereu. Configureu el split tunnel als paràmetres compatibles del client.

Què exigeix una VPN per aplicació a macOS

Una VPN per aplicació real a macOS és una funció de Network Extension guiada per un perfil de configuració. Una càrrega de gestió assigna aplicacions escollides a una configuració de VPN, i el sistema encamina després el trànsit d’aquestes aplicacions en conseqüència. És un desplegament gestionat, cosa que implica un MDM, un perfil signat i un administrador que posseeixi tots dos.

Instal·lar el client a mà no crea aquesta assignació, i el tauler de paràmetres corrent no fa que les aplicacions es puguin seleccionar individualment. Un proveïdor pot exposar les seves pròpies regles d’aplicació, i aquestes segueixen la seva documentació en lloc d’una regla general.

Tres vies per separar per aplicació sense MDM

On no hi ha gestió disponible, un proxy és la resposta pràctica. Definiu la configuració de proxy de la mateixa aplicació o feu servir un fitxer PAC que seleccioni per destinació i protocol només per a aquesta aplicació.

Un proxy local acaba la connexió i la reemeten pel túnel, de manera que l’aplicació no necessita mai una ruta. La segona opció és una pila de xarxa separada: una màquina virtual o un contenidor amb la seva pròpia ruta predeterminada, que l’aplicació abasta per una adreça local. La tercera és acceptar l’encaminament per destinació i abandonar el requisit, cosa que és honesta quan totes dues aplicacions poden usar el túnel. Les tres són comprovables, i cap no fingeix que una ruta conegui els processos.

Redacteu la petició perquè la resposta no admeti dubtes

Descriu el flux de treball en lloc del mecanisme: quina aplicació necessita quin servei, si una altra aplicació s’ha de mantenir allunyada d’aquest mateix servei i què ha de passar mentre el túnel està caigut. Aquestes tres respostes trien el disseny. També diuen a l’administrador si la petició és un canvi d’encaminament o un projecte de desplegament.

Incloeu explícitament el cas de l’aplicació exclosa. Un client que atura una aplicació quan el seu camí protegit no està disponible es comporta de manera diferent d’un que la deixa recaure en la interfície física, i els usuaris noten aquesta diferència de seguida. Nomeu l’expectativa al tiquet. Després verifiqueu a la màquina real, perquè el mateix producte sovint es comporta de manera diferent a macOS i a Windows, i la seva documentació de macOS és l’única font fiable sobre què fan els seus paràmetres.